View a markdown version of this page

Requisitos previos - Amazon WorkSpaces

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Requisitos previos

Realice los siguientes pasos antes de utilizar la autenticación basada en certificados.

  1. Configure su directorio de WorkSpaces grupos con la integración de SAML 2.0 para utilizar la autenticación basada en certificados. Para obtener más información, consulte Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos.

    nota

    No habilite la opción Inicio de sesión con tarjeta inteligente en el grupo si desea utilizar la autenticación basada en certificados.

  2. Configurar el atributo userPrincipalName en su declaración de SAML. Para obtener más información, consulte Paso 7: crear aserciones para la respuesta de autenticación de SAML.

  3. Configurar el atributo ObjectSid en su declaración de SAML. Puede usar este atributo para realizar una asignación sólida con el usuario de Active Directory. Certificate-based la autenticación falla si el ObjectSid atributo no coincide con el identificador de seguridad (SID) de Active Directory del usuario especificado en el NameID SAML_Subject. Para obtener más información, consulte Paso 7: crear aserciones para la respuesta de autenticación de SAML.

    nota

    Según Microsoft KB5014754, el atributo ObjectSid será obligatorio para la autenticación basada en certificados después del 10 de septiembre de 2025.

  4. Agregue el permiso sts:TagSession a la política de confianza de roles de IAM que utiliza con su configuración de SAML 2.0. Para obtener más información, consulte Transferencia de etiquetas de sesión en AWS STS en la Guía del usuario de AWS Identity and Access Management . Este permiso es necesario para usar la autenticación basada en certificados. Para obtener más información, consulte Paso 5: crear un rol de IAM de federación de SAML 2.0.

  5. Cree una autoridad de certificación (CA) AWS privada mediante una CA privada, si no tiene una configurada con su Active Directory. AWS Se requiere que una CA privada utilice la autenticación basada en certificados. Para obtener más información, consulte Planning your AWS Privada CA deployment en la Guía del usuario de AWS Autoridad de certificación privada . La siguiente configuración de CA AWS privada es común en muchos casos de uso de autenticación basada en certificados:

    • Opciones de tipo de CA

      • Short-lived modo de uso de la CA certificadora: se recomienda si la CA solo emite certificados de usuario final para la autenticación basada en certificados.

      • Jerarquía de un solo nivel con una CA raíz: elija una CA subordinada para integrarla con una jerarquía de CA existente.

    • Opciones de algoritmos de clave: RSA 2048

    • Opciones de nombre distintivo por asunto: utilice las opciones más adecuadas para identificar esta CA en el almacén de entidades emisoras de certificados raíz de confianza de Active Directory.

    • Opciones de revocación de certificados: distribución de CRL

      nota

      Certificate-based la autenticación requiere un punto de distribución CRL en línea al que se pueda acceder tanto desde los WorkSpaces grupos internos como desde WorkSpaces el controlador de dominio. Esto requiere un acceso no autenticado al bucket de Amazon S3 configurado para las entradas de la CRL de CA AWS privadas, o una CloudFront distribución con acceso al bucket de Amazon S3 si bloquea el acceso público. Para obtener más información sobre estas opciones, consulte Planning a certificate revocation list (CRL) en la Guía del usuario de AWS Autoridad de certificación privada .

  6. Etiquete su CA privada con una clave que permita designar la CA euc-private-ca para su uso con la autenticación basada en certificados de WorkSpaces Pools. Esta clave no requiere ningún valor. Para obtener más información, consulte Managing tags for your private CA en la Guía del usuario de AWS Autoridad de certificación privada .

  7. Certificate-based la autenticación utiliza tarjetas inteligentes virtuales para iniciar sesión. Para obtener más información, consulte Guidelines for enabling smart card logon with third-party certification authorities. Siga estos pasos:

    1. Configure los controladores de dominio con un certificado de controlador de dominio para autenticar a los usuarios de tarjetas inteligentes. Si tiene una CA empresarial de Servicios de certificados de Active Directory configurada en su Active Directory, inscribirá automáticamente los controladores de dominio con certificados que permiten el inicio de sesión con tarjeta inteligente. Si no tiene los Servicios de certificados de Active Directory, consulte Requirements for domain controller certificates from a third-party CA. Puede crear un certificado de controlador de dominio con una CA AWS privada. Si lo hace, no utilice una CA privada configurada para certificados de corta duración.

      nota

      Si usa Microsoft AD AWS administrado, puede configurar los servicios de certificación en una instancia de Amazon EC2 que cumpla con los requisitos de los certificados de controlador de dominio. Consulte Implementar Active Directory en una nueva nube privada virtual de Amazon para ver, por ejemplo, las implementaciones de Microsoft AD AWS administrado configuradas con los servicios de certificación de Active Directory.

      Con los servicios de certificación AWS gestionados de Microsoft AD y Active Directory, también debe crear reglas de salida desde el grupo de seguridad de VPC del controlador hasta la instancia de Amazon EC2 que ejecute los servicios de certificación. El grupo de seguridad debe tener acceso al puerto 135 de TCP y a los puertos 49152 a 65535 para habilitar la inscripción automática de certificados. La instancia de Amazon EC2 también debe permitir el acceso entrante a estos mismos puertos desde las instancias de dominio, incluidos los controladores de dominio. Para obtener más información sobre cómo localizar el grupo de seguridad de AWS Managed Microsoft AD, consulte Configurar las subredes y los grupos de seguridad de la VPC.

    2. En la consola de AWS una CA privada, o con el SDK o la CLI, exporte el certificado de la CA privada. Para obtener más información, consulte Exportación de un certificado privado.

    3. Publique la CA privada en Active Directory. Inicie sesión en un controlador de dominio o en una máquina asociada a un dominio. Copie el certificado de CA privado en cualquiera <path>\<file> y ejecute los siguientes comandos como administrador de dominio. También puede usar la política de grupo y la herramienta PKI Health Tool (PKIView) de Microsoft para publicar la CA. Para obtener más información, consulte Configuration instructions.

      certutil -dspublish -f <path>\<file> RootCA
      certutil -dspublish -f <path>\<file> NTAuthCA

      Asegúrese de que los comandos se completen correctamente y, a continuación, elimine el archivo de certificado de CA privada. Según la configuración de replicación de Active Directory, la CA puede tardar varios minutos en publicar en los controladores de dominio y WorkSpaces en los WorkSpaces grupos.

      nota

      Active Directory debe distribuir la CA a las autoridades de certificación raíz de confianza y Enterprise NTAuth la almacena automáticamente WorkSpaces en WorkSpaces grupos cuando se unen al dominio.

      nota

      Los controladores de dominio de Active Directory deben estar en modo de compatibilidad para que la aplicación estricta de los certificados admita la autenticación basada en certificados. Para obtener más información, consulte el artículo KB5014754: cambios de Certificate-based autenticación en los controladores de dominio de Windows en la documentación de soporte de Microsoft. Si utiliza Microsoft AD AWS administrado, consulte Configurar las opciones de seguridad del directorio para obtener más información.